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(57) Abstract: The invention concerns a method and device for monitoring signal processing units for sensors that detect individual 
process control quantities or process measured quantities of a process. In order to improve the reliability of the sensor data of a 
vehicle, an at least redundant processing of the sensor data ensues in two identical signal processing units (43, 31, 46; 44, 32, 45) that, 
^s^l independent of and separate from one another, respectively comprise at least two preprocessing devices (43, 44) in two evaluating 

devices (31, 32). The sensor data are transferred via separate signal lines (60, 61) between the respective preprocessing device (43, 
44) and the associated evaluating device (31, 32). 
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(57) Zusammeiifassung: Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Uberwachen von Signalverarbeitungsein- 
heiten fur Sensoren, die jeweils einzelne Prozessfuhrangs- oder Prozessmessgrossen eines Prozesses erfassen. Zur Verbesserang 
der Zuverlassigkeit der Sensordaten eines Fahrzeugs erfolgt eine mindestens redundante Verarbeitung der Sensordaten in zwei glei- 

chen Signalverarbeitungseinheiten (43, 31, 46; 44, 32, 45), die jeweils unabhangig und getrennt voneinander uber mindestens zwei 
Aufbereitungseinrichtungen (43, 44) in zwei Auswerteeinrichtungen (31, 32) verfugen, wobei die Sensordaten iiber getrennte Signal- 
lei tungen (60, 61) zwischen der jeweils einen Aufbereitungseinrichtung( 43, 44) und der zugehorigen Auswerteeinrichtung (31,32) 
iibertragen werden. 
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Verfaliren und Vorr±ch1:ung zum Dberwachen von Signal verarbel- 

t:ungselnhelt:en fur Sensoren 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
ziam Uberwachen von Signalverarbeitungseinheiten fur Senso- 
ren^ die jeweils einzelne Prozefif iihrungs- Oder ProzefimeBgro- 
Jien eines Prozesses erfassen. 

Elektronische Stabilitatsprogramnie sind f ahrdynamische Re- 
gelsysteme fur Fahrzeuge, die dazu dienen^ den Fahrer in 
kritischen Fahrsituationen wahrend des Bremsens, Beschleuni- 
gens und Lenkens zu unterstutzen und dort einzugreif en, wo 
der Fahrer selbst keine direkte Eingrif f smoglichkeit hat. 
Das Regelsystem unterstiitzt den Fahrer beim Bremsen, insbe- 
sondere auf einer Fahrbahn mit niedrigem oder wechselndem 
Reibwert, auf der das Fahrzeug wegen blockierender Rader 
nicht mehr steuerbar sein oder ins Schleudern geraten konn- 
te, ferner beim Beschleunigen, wobei die Gefahr des Durch- 
drehens der Antriebsrader besteht, sowie schlieJJlich beim 
Lenken in einer Kurve, in der das Fahrzeug uber- oder unter- 
steuern konnte. Insgesamt wird damit nicht nur der Komfort, 
sondern auch die aktive Sicherheit wesentlich verbessert. 
Einem solchen Regelsystem liegt ein geschlossener Regelkreis 
zugrunde, der im Normalbetrieb des Fahrzeugs typische Re- 
gelaufgaben ubernimmt und in extremen Fahrsituationen das 
Fahrzeug so schnell wie moglich abfangen soil- Als Istwert- 
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geber sind dabei Sensoren zur Erfassung der verschiedenen 
f ahrdynamischen Parameter von besonderer Bedeutung. Eine 
plausible Regelung setzt voraus, dass die Sensoren den 
Istzustand der Regelstrecke korrekt wiedergeben. Dies ist 
bei Fahrstabilitatsregelungen in extremen Fahrsituationen, 
in denen eine Regelabweichung schon innerhalb einer sehr 
kurzen Zeit ausgeregelt werden inuJ5, besonders wichtig. Aus 
diesem Grunde mussen bei einem elektronischen Stabilitats- 
progrcunm die Sensoren (Gierratensensor, Querbeschleunigungs- 
sensor, Lenkwinkelsensor) standig uberwacht werden. Eine 

entsprechende Online-Sensoriiberwachung hat den Zweck^ Fehler 

> 

in den Sensoren friihzeitig zu erkennen^ damit eine Fehlrege- 
lung^ die das Fahrzeug in einen sicherheitskritischen Zu- 
stand bringen konnte, ausgeschlossen wird. 

Die zur Zeit in Serie befindlichen ESP-Systeme verwenden ei- 
nen Mehrf achsensor (,,Sensorcluster^^) zur Erfassung von Fahr- 
zeug-Drehrate sowie Quer- und ggf- Langsbeschleunigung. Die- 
ser Sensor ist im Fahrgastraum angeordnet und kommuniziert 
iiber eine CAN-Schnittstelle mit dem ESP-Steuergerat <W0 
99/47889) 

Zukunftige Anwendungen (z.B. ESP-2 Oder Active Front Stee- 
ring AFS) sehen vor, die Signale des Sensorclusters auch zur 
Beeinf lussung der Lenkung heranzuziehen . Da Lenkeingrif f e 
grundsatzlich hohere Risiken beinhalten als Bremseingrif f e^ 
werden auch. an die Zuverlassigkeit der Sensorik hohere An- 
forderungen gestellt. Es werden redundante Systeme benotigt, 
die selbstandig Fehlf unktionen erkennen und entsprechend re- 
agieren konnen . 
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Figur 1 zeigt einen bekannten Sensorcluster in redundanter 
Ausfuhrung. Drehraten 11, 12- und Beschleunigungssensor 1, 2 
sind daher doppelt vorhanden. Die Signalverarbeitung erfolgt 
in einem gemeinsam genutzten Chipsatz. Hierbei sind A/D- 
Wandler ADC 1, ADC 2 und Prozessorkern |LiCl , (iC2 redundant 
ausgelegt, die Signalpfade 13, 14 (z.B. SPI-Schnittstelle 
zwischen den Wandlern und Prozessoren, Empf angsregister 
usw.) sind jedoch nur einmal vorhanden. Defekte Sensorele- 
mente konnen so erkannt werden, ebenso Fehler in der Pro- 
graramausf iihrung . 

Nachteilig ist jedoch, dass Fehler auf dera Ubertragungsweg 
zwischen A/D-Wandler (ADC) und Prozessor nicht erkannt wer- 
den, ebenso wenig wie Fehler im A/D-Wandler selbst <z.B 
stuck bits) , die in der Groiienordnung der zulassigen Signa- 
lungenauigkeit liegen . 

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfah- 
ren und eine Vorrichtung zur Uberwachung der Signalverarbei- 
tung von Sensoren der eingangs genannten Art zu schaffen, 
das/die eine insbesondere fur die Fahrstabilitatsregelung 
und/oder Komf ortregelung mit aktiven Lenkeingrif f en fur 
Fahrzeuge erf orderliche Zuverlassigkeit aufweist. 

Gelost wird diese Aufgabe gemafi Anspruch 1 mit einem Verfah- 
ren der eingangs genannten Art, das sich auszeichnet durch 
eine mindestens redundante Verarbeitung der Sensordaten in 
zwei gleichen Signalverarbeitungseinheiten, die jeweils un- 
abhangig und getrennt voneinander uber mindestens zwei Auf- 
bereitungseinrichtungen in zwei Auswerteeinrichtungen aus- 
gewertet und plausibilisiert werden, wobei die Sensordaten 
iiber getrennte Signalleitungen zwischen der jeweils einen 
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Aufbereitungseinrichtung und der jeweils einen Auswerteein- 
richtung ubertragen werden. 

Vorteilhaft ist, dass die in jeder Auswerteeinrichtung je- 
weils separat ausgewerteten und plausibilisierten Sensorda- 
ten uber eine Schnittstelle zwischen den Auswerteeinrichtun- 
gen ausgetauscht werden. Dabei werden von jeder Auswerteein- 
richtung unabhangig von der anderen die ausgewerteten und 
plausibilisierten Sensordaten und Zustandsinf ormationen der 
jeweiligen anderen Auswerteeinheit an ein iibergeordnetes 
Steuergerat des Fahrzeugs gesendet. 

Die tibertragung der ausgewerteten und plausibilisierten Sen- 
sordaten und Zustandsinf ormationen der jeweiligen anderen 
Auswerteeinheit erfolgt iaber interne separate Signalleitun- 
gen zu jeweils einem Datenbus und zu dem Steuergerat des 
Fahrzeugs . 

Diese Aufgabe wird ferner gemafi Anspruch 5 mit einer Vor- 
richtung der eingangs genannten Art gelost, die sich aus- 
zeichnet durch mindestens zwei gleiche Signalverarbeitungs- 
einheiten zur redundanten Verarbeitung der Sensordaten, mit 
mindestens zwei Aufbereitungseinrichtungen und zwei Auswer- 
teeinrichtungen in denen die Sensordaten jeweils unabhangig 
und getrennt voneinander ausgewertet und plausibilisiert 
werden, wobei jeweils eine Aufbereitungseinrichtung mit der 
jeweils einen Auswerteeinrichtung iiber getrennte Signallei- 
tungen verbunden sind und die Sensordaten zwischen der je- 
weils einen Aufbereitungseinrichtung und der jeweils einen 
Auswerteeinrichtung uber die jeweils separate Signalleitung 
ubertragen werden 
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Vorteilhafte Weiterbildungen der Erfindung sind in den Un- 
teranspruchen angegeben . 

Durch die Erfindung ergeben sich die folgenden Vorteile: 

• Vollstandig redundanter Signalweg bis hin zur Signal- 
ausgabe. Samtliche im System auftretenden Fehler konnen 
erkannt werden. 

• Vermeidung von Komf orteinbulien durch vorzeitige System- 
aktivierung, bedingt durch Fehler, die noch im Rahmen 
des spezif izierten Bereiches liegen. 

• Eignung fur hochsensible Systeme mit sehr kleinen Re- 
gelschwellen . 

• Kostenersparnis durch Verwendung der gleichen Komponen- 
ten wie beim nicht redundanten Standard-Sensorcluster . 
Es sind keine Spezialbauteile (wie z.B. double core- 
Prozessoren) notwendig . 

Ausfiihrungsbeispiele der Erfindung sind in den Zeichnungen 
dargestellt und werden im folgenden naher beschrieben. 

Es zeigen: 

Fig. 1 einen einfach redundanten Sensorcluster nach dem 

Stand der Technik 

Fig. 2 eine schematische Darstellung der Struktur eines 

ESP-Systems; 

Fig. 3 einen vollstandig redundanten Sensorcluster nach 
der Erfindung- 
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Der Vorgang des Autofahrens kann gemaiS Figur 2 im regelungs- 
technischen Sinne als ein Regelkreis betrachtet warden, bei 
dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die Regel- 
strecke darstellt. Die Fiihrungsgrofien sind dabei die person- 
lichen Fahrwunsche FW des Fahrers, die er durch eine fort- 
laufende Beobachtung des Stralienverkehrs erstellt. Die Ist- 
werte IF sind die Momentanwerte fur Fahrtrichtung und Ge- 
schwindigkeit , die der Fahrer iiber seine Augen bzw. das 
Fahrgefuhl erfafit. Die Stellgrofien SF sind schlieBlich der 
Lenkradwinkel/ die Stellung des Getriebes sowie die Stellun- 
gen von Gas- und Bremspedal, die von dem Fahrer aufgrund der 
Abweichungen zwischen den Soil- und den Istwerten erstellt 
werden . 

Eine derartige Regelung wird haufig durch Storungen S wie 
Reibwertanderungen, Fahrbahnunebenheiten, Seitenwind oder 
andere Einfliisse erschwert, da der Fahrer diese nicht prazi- 
se erfassen kann, jedoch bei der Regelung beriicksichtigen 
muJi. Aus diesem Grunde kann der Fahrer 1 zwar im allgemeinen 
die ihm iibertragenen Aufgaben, namlich den Prozefi des Auto- 
fahrens zu regeln und zu beobachten, in normalen Fahrzustan- 
den aufgrund seiner Ausbildung und der gesammelten Erfahrung 
ohne Schwierigkeiten bewaltigen. In Extremsituationen und / 
Oder bei den genannten au^ergewohnlichen Fahrzustanden, bei 
denen die physikalischen Reibkraf tgrenzen zwischen der Fahr- 
bahn und den Reifen uberschritten werden, besteht jedoch die 
Gefahr, daJ5 der Fahrer zu spat oder falsch reagiert und die 
Kontrolle liber sein Fahrzeug verliert. 

Um auch diesen Fahrsituationen Rechnung tragen zu konnen, 
wird das fahrdynamische Regelsystem mit einem unterlagerten 
Regelkreis (ESP) erganzt, der gemafi Figur 1 einen Regelalgo- 
rithmus 4, eine Systemiiberwachung 5 und einen Fehlerspeicher 
6 lamfa&t. Gemessene Fahrzustandsgrolben werden dabei der Sys- 
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temiiberwachung 5 und dem Regelalgorithmus 4 zugef lihrt - Die 
Systemuberwachung 5 erzeugt ggf. eine Fehlermeldung die 
dem Fehlerspeicher 6 und dem Regelalgorithmus 4 zugeflihrt 
wird. Der Regelalgorithmus 4 beaufschlagt dann in Abhangig- 
keit von den vom Fahrer 1 erzeugten Stellgroiien das Fahrzeug 
2- Mit diesem Regelkreis werden typische Regelauf gaben aus- 
gefuhrt. In extremen Fahrsituationen wird das Fahrzeug so 
schnell wie moglich wieder abgefangen. 

Figur 3 zeigt die Struktur eines solchen Regelkreises, der 
im wesentlichen ein Antiblockiersystem 10, eine Antriebs- 
schlupf regelung 11 und eine Giermomentregelung 12 umfaftt. 
Das System kann um eine nicht naher dargestellte Lenkwinkel- 
regelung erweitert sein, wie sie zum Beispiel in der 
WO2004/005093 beschrieben ist. Weiterhin sind Gierratensen- 
soren 13, Querbeschleunigungssensoren 14, ein Lenkwinkelsen- 
sor 15, ein Drucksensor 16 und vier Radgeschwindigkeitssen- 
soren 17 vorgesehen, die sowohl als Istwertgeber zur Ermitt- 
lung der Regelabweichung, als auch zur Bildung eines Gierra- 
tensollwertes und verschiedener ZwischengroBen eingesetzt 
werden. 

Die von dem Fahrer 1 durch Betatigung eines Gas- und Brems- 
pedals sowie des Lenkrades erzeugten ProzeJif uhrungsgrofien 
werden der Antriebsschlupf regelung 11, dem Antiblockiersys- 
tem 10 und .dem Drucksensor 16 beziehungsweise dem Lenkwin- 
kelsensor 15 zugef iigt. Fahrzeugspezif ische Nichtlinearita- 
ten, Schwankungen der Reibwerte, Seitenwind-Einf lusse usw. 
sind als Storungen oder unbekannte Gro^en 18 zusammengef aBt 
und beeinflussen die Fahrzeug-Langs- und Querdynamik 19. 
Diese Dynamik 19 wird ferner durch die genannten Fiihrungs- 
groJien sowie die Ausgangssignale einer Motormanagementein- 
heit 20 beeinfluiit und beaufschlagt die Radges chwindigkeits- 
sensoren 17, die Gierratensensoren 13, die Querbeschleuni- 
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gungssensoren 14 sowie den Drucksensor 16. Eine Regelar- 
bitration 21, der die Ausgangssignale des Antiblockiersys- 
tems 10, der Antriebsschlupf regelung 11, der Giermomentrege- 
lung 12, der Lenkwinkelregelung und eines Bremseneingrif f s- 
algorithmus 22 zugefuhrt werden, dient zur Prioritatsvertei- 
lung dieser Signale im Hinblick auf ihr Einwirken auf die 
Motormanagementeinheit 20 oder direkt auf die Fahrdynamik 
19. Der Bremseneingrif fsalgorithraus 22 wird dabei von der 
Giennomentregelung 12 und dem Drucksensor 16 beauf schlagt . 
Schlie&lich ist eine Fahrzustandserkennung 23 vorgesehen, 
der die Signale des Lenkwinkelsensors 15, der Gierratensen- 
soren 13, der Querbeschleunigungssensoren 14 sowie der Rad- 
geschwindigkeitssensoren 17 zugefuhrt werden und deren Aus- 
gangssignale die Giermomentregelung 12 sowie ein Einspurre- 
f erenzmodell 24, mit dem eine gewunschte Soll-Gierrate er- 
zeugt wird, oder die Lenkwinkelregelung beauf schlagt . 

In der Figur 4 ist der Sensorcluster 40 mit vollstandiger 
symmetrischer Redundanz der Signalverarbeitungseinheiten 43, 
31 4 6 und 44, 32, 45 dargestellt. Der Sensorcluster 40 be- 
steht aus zwei identischen getrennten Pfaden zur Signalver- 
arbeitung. Drehraten 41, 42- und Beschleunigungssensor 21, 
22 sind doppelt vorhanden. Bevorzugt sind die Sensoren 41, 
42, 21, 22 und die Signalverarbeitungseinheiten 43, 31 46 
und 44, 32, 45 in einem gemeinsamen Gehause 62 angeordnet. 
Ihnen sind zwei Signal-Aufbereitungseinrichtungen 43, 44, 
wie analog-digital Signalwandler, zugeordnet, die das analo- 
ge Ausgangs signal der Sensoren in ein digitales Eingangssig- 
nal wandeln. Zur Signalverarbeitung werden zwei Auswerte- 
einrichtungen 31, 32, wie identische Microcontroller, digi- 
tale Signalprozessoren (DSP) oder programmierbare Logikbau- 
steine, insbesondere ASICs, eingesetzt. Die Sensordaten zwi- 
schen der jeweils einen Aufbereitungseinrichtung (43, 44) und 
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der jeweils einen Auswerteeinrichtung (31, 32) werden uber 
jeweils eine separate Signalleitung (60, 61) ubertragen. In 
den Auswerteeinrichtungen 31, 32 werden die nun digital vor- 
liegenden Signale digital verarbeitet. Ausgangsseitig der 
Auswerteeinrichtungen 31, 32 liegen die auswertebezogenen 
Sensorsignale an. Diese werden dem seriellen Fahrzeugkommu- 
nikationsbus 47 uber den in den Auswerteinrichtungen 31, 32 
ausgebildeten zwei CAN-Controller 45, 46 eingespeist. Die 
uber die jeweils separaten Leitungen 71, 72 mit integrierten 
CAN (Controller Area Network) verbundenen Auswerteeinrich- 
tungen 31, 32 ubernehmen dabei folgende Systemf unktionen : 

• Bereitstellung eines Treibersignals/Treiberspannung zur 
Anregung des elektrisch-mechanischen Wandlers des Dreh- 
ratensensoren 41, 42 

• Aufnahme der Signale der Drehratensensoren 41, 42 mit 
spezifischen algorithmischen Verrechnungen und Filte- 
rung zur Gewinnung einer Zahlengroiie fur die Gierbewe- 
gung eines Fahrzeugs 

• Wandlung der Zahlengrolien der Gierbewegung eines Fahr- 
zeugs im CAN und Transfer auf den seriellen Bus 47. 

Diese Auswerteeinrichtungen 31, 32 konnen genau den im be- 
kannten Sensorcluster (zB. EP 1 064 520 Bl) eingesetzten 
Bauteilen entsprechen, d.h. fiir dieses System werden dann 
keine Spezialbauteile benotigt- 

Die Ausgange der beiden Signalverarbeitungseinheiten 43, 31, 
46; 44, 32, 45 konnen im Sensorcluster 40 zusammengef iihrt 
Oder in getrennten Leitungen 4 9, 50 an den Fahrzeugkommuni- 
kationsbus (hier CAN) angeschlossen werden. Bei einer Zusam- 
menflihrung im Sensorcluster bleibt die Schnittstelle kompa- 
tibel zu dem bestehenden System. 



wo 2005/080164 



PCT/EP2005/050724 



- 10 - 

Jede der Auswerteeinrichtungen 31^ 32 hat Zugang zu samtli- 
chen Sensordaten und fiihrt unabhangig vom anderen eine Sig- 
nalverarbeitung und Plausibilitatsbeurteilung durch. Das Er- 
gebnis seiner Plausibilitatsbetrachtung und ggf- das ihrer 
Berechnungen teilt sie ihrem Partner durch eine geeignete 
Schnittstelle 48 itiit. 

Daraufhin setzt jede Auswerteeinrichtungen 31, 32 unabhangig 
vom anderen eine Nachricht (hier CAN-Botschaf t ) an das (ESP- 
) Steuergerat ab- Diese Nachricht enthalt in codierter Form 
die eigenen Daten, den Status der eigenen Plausibilitatsbe- 
trachtung sowie den vom Partner signalisierten Zustand. 

Abhangig von den in den Nachrichten enthaltenen Status flags 
entscheidet das Steuergerat, ob die Daten als gliltig, als 
bedingt gultig oder als fehlerhaft zu beurteilen sind. Be- 
dingt gultige Daten konnen durch Vergleich mit anderen Gro- 
J5en, z.B. mit den Radgeschwindigkeiten iiber das Modell 

V — V , 

Y « ^ 

bewertet und ggf. noch genutzt werden. S ist hierbei die 
Spurweite des Fahrzeugs, Vvr ist die Radgeschwindigkeit vorne 
rechts, Vvi ist die Radgeschwindigkeit vorne links. So kann 
z.B. bei Ausfall eines Gierratensignales wahrend einer ESP- 
Regelung vom Steuergerat anhand der vorhandenen Modelldaten 
das intakte Signal identif iziert und zum Fortsetzen der Re- 
gelung verwendet werden. 

Vom Aufwand her entspricht diese Losung zwei getrennten i- 
dentischen Sensor clustern . Sie hat jedoch den Vorteil, dali 
jeder Cluster auf die Sensorik des anderen zugreifen kann. 
Hierdurch stehen zusatzliche Inf ormationen zur Verfugung. 



wo 2005/080164 



PCT/EP2005/050724 



- 11 - 

Das hier am Beispiel Sensorcluster erlauterte Redundanzkon- 
zept laBt sich auf beliebige andere Sensorsysteme libertra- 
gen. Daher sind folgende Variationen denkbar, die durch die 
Erfindung mitumfasst werden: 

• Einsatz von n>=2 Signalverarbeitungseinheiten 43^ 31, 

4 6 die auf die Signale von beliebig vielen Sensoren 41, 
42, 21, 22 zugreifen, von denen ein Teil redundant vor- 
handen sein kann aber nicht muli - 

• Redundante Sensoren 41, 42 konnen doppelt oder mehrfach 
(>2) vorhanden sein. Mit drei oder mehr Sensoren kann 
bereits wahrend der Signalverarbeitung eine Entschei- 
dung getroffen werden, welcher Sensor fehlerhaft ist. 

• Sensoren 41, 42, 21, 22 und die Signalverarbeitungsein- 
heiten 43, 31, 46; 44, 32, 45 mlissen sich nicht im sel- 
ben Gehause 62 befinden. 

• Der Anschlufi 63-7 0 der Sensoren an die Signalverarbei- 
tungseinheiten kann analog oder digital erfolgen. 

• Der Anschluii der Signalverarbeitungseinheiten 43, 31, 
4 6; 44, 32, 45 an das iibergeordnete Steuergerat kann 
analog oder digital erfolgen. 

• Die Signalverarbeitungseinheiten 43, 31, 46; 44, 32, 45 
tauschen Statusinf ormationen, Rechenergebnisse oder gar 
keine In f ormationen aus. 

• Die Signalverarbeitungseinheiten 43, 31, 46; 44, 32, 45 
konnen zu bestimmten Zeiten unterschiedliche Aufgaben 
wahrnehmen (z.B. in der Initialisierungsphase oder bei 
Eigendiagnose) . 

• Nicht jede Signalverarbeitungseinheit 43, 31, 4 6; 44, 
32, 45 mufi alle Sensorsignale auswerten, es sind auch 
teilweise redundante Systeme moglich. 
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Fiir den Fall, dass ein ubergeordnetes System nicht akzepta- 
bel ist, bietet sich als vorteilhafte Ausf uhrungsf orm an, 
nur eine Signalverarbeitungseinheit 43, 31, 46; 44, 32, 45 
aktiv kommunizieren zu lassen. Die andere(n) bleiben zu- 
nachst passiv im Hintergrund, fuhren jedoch trozdem die 
Plausibilisierung mit zugehoriger interner Kommunikation 
durch. Nur wenn dort eine Diskrepanz festgestellt wurde, le- 
gen die passiven Signalverarbeitungseinheiten Veto ein und 
melden sich aktiv bei dem iibergeordneten System. Praktisch 
realisiert konnte dies so aussehen: 

Signalverarbeitungseinheit 43, 31, 46 und 44, 32, 45 sind 
identisch, aber haben eine Software, welche liber einen Pin 
codiert zwei Betriebsarten ermoglicht. 

Signalverarbeitungseinheit 43, 31, 46 arbeitet als Master 
(Codierung 1) und sendet das Ergebnis ihrer Auswertung am 
CAN 

Signalverarbeitungseinheit 44, 32, 45 arbeitet als Slave 
(Codierung 0) und vergleicht das iiber CAN empfangene Er- 
gebnis des Masters mit ihren eigenen Berechnungen . Uber- 
einstiramung bzw Abweichung teilt sie dem Master mit und 
schickt ggf . eine CAN-Botschaf t mit gesetztem Fehlerflag 
ans System. 

Die Kommunikation kann z.B. liber zwei Leitungen MATCH, 
MATCH_N erfolgen, die in jeder Software-Loop gegensinnig 
toggeln und bei Fehler beide auf 1 oder beide auf 0 gehen. 
Signalverarbeitungseinheit 43, 31, 4 6 erkennt durch o.g. 
Rlickmeldung, dass Signalverarbeitungseinheit 44, 32, 45 
vorhanden ist und arbeitet. 



wo 2005/080164 



PCT/EP2005/050724 



- 13 - 



Signal verarbeitungseinheit 44, 32, 45 erkennt durch Erap- 
fang der CAN-Botschaf ten, dass Signalverarbeitungseinheit 
43, 31, 4 6 vorhanden ist und arbeitet. 
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Paten t:anspruche : 

1- Verfahren zum Uberwachen von Signalverarbeitungseinhei- 
ten flir Sensoren, die jeweils einzelne Prozelif uhrungs- 
oder Pro 2 eJimeiigr 615 en eines Prozesses erfassen, gekenn- 
zeldinei: durch eine raindestens redundante Verarbeitung 
der Sensordaten in zwei gleichen Signalverarbeitungsein- 
heiten (43, 31, 46 und 44, 32, 45) , die jeweils unabhan- 
gig und getrennt voneinander uber mindestens zwei Aufbe- 
reitungseinrichtungen (43, 44) in zwei Auswerteeinrich- 
tungen ( 31,32) ausgewertet und plausibilisiert werden, 
wobei die Sensordaten uber getrennte Signalleitungen 
(60, 61) zwischen der jeweils einen Aufbereitungsein- 
richtung (43, 44) und der jeweils einen Auswerteeinrich- 
tung (31, 32) ubertragen werden. 

2- Verfahren nach Anspruch 1, dadurch gekennzeiclinet, dass 
die in jeder Auswerteeinrichtung (31, 32) jeweils separat 
ausgewerteten und plausibilisierten Sensordaten uber ei- 
ne Schnittstelle zwischen den Auswerteeinrichtungen (31, 
32) ausgetauscht werden. 

3 - Verfahren nach Anspruch 1 oder 2 , dadurch gekennzeich- 

net:, dass von jeder Auswerteeinrichtung (31, 32) unab- 
hangig von der anderen die ausgewerteten und plausibili- 
sierten Sensordaten und Zustandsinf ormationen der jewei- 
ligen anderen Auswerteeinheit an ein ubergeordnetes 
Steuergerat des Fahrzeugs gesendet werden. 
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4. Verfahren nach einem der Anspruche 1 bis 3/ dadurch ge- 
kennzelchne't^ dass die ausgewerteten und plausibilisier- 
ten Sensordaten und Zustandsinf ormationen der jeweiligen 
anderen Auswerteeinheit (31, 32) uber interne separate 
Signalleitungen (49, 50) uber jeweils einem Datenbus(47) 
zu dem Steuergerat des Fahrzeugs ubertragen werden. 

5. Vorrichtung zum Uberwachen von Signalverarbeitungsein- 
heiten fur Sensoren, die jeweils einzelne ProzeJ^fuh- 
rungs- oder ProzeJ^nie^groAen eines Prozesses erfassen, 
gekennzelchnet: duz^ch mindestens zwei gleiche Signalver- 
arbeitungseinheiten (43, 31, 46; 44, 32, 45 ) zur redun- 
danten Verarbeitung der Sensordaten, mit mindestens zwei 
Aufbereitungseinrichtungen (43, 44) und zwei Auswerte- 
einrichtungen (31, 32) in denen die Sensordaten jeweils 
unabhangig und getrennt voneinander ausgewertet und 
plausibilisiert werden, wobei jeweils eine Aufberei- 
tungseinrichtung ( 43, 44) mit der jeweils einen Auswer- 
teeinrichtung (31, 32) uber getrennte Signalleitungen 
(60, 62) verbunden sind und die Sensordaten zwischen der 
jeweils einen Aufbereitungseinrichtung (43, 44) und der 
jeweils einen Auswerteeinrichtung (31, 32) uber die je- 
weils separate Signalleitung (60, 61) ubertragen werden. 

6. Vorrichtung nach Anspruch 5, dadurch gekennzelchnet:, 

dass die in jeder Auswerteeinrichtung (31, 32) jeweils 
separat ausgewerteten und plausibilisierten Sensordaten 
liber eine Schnittstelle zwischen den Auswerteeinrichtun- 
gen (31, 32) ausgetauscht werden 

7- Vorrichtung nach Anspruch 5 oder 6, dadurch gekennzelch- 
ne't, dass jede Auswerteeinrichtung (31, 32) unabhangig 
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von der anderen die ausgewerteten und plausibilisierten 
Sensordaten und Zustandsinf ormationen der jeweiligen an- 
deren Auswerteeinheit an ein Fahrzeug-Steuergerat sen- 
det . 

8. Vorrichtung nach einem der Anspruche 5 bis 1, dadurch 
gekennzelchnet:, dass jede Auswerteeinheit (31, 32) iiber 
eine interne separate Signalleitung (71, 72) mit einem 
Datenbus(45, 46) verbunden ist und die ausgewerteten und 
plausibilisierten Sensordaten und Zustandsinf ormationen 
der jeweiligen anderen Auswerteeinheit (31, 32) uber den 
jeweils einen Datenbus(45, 46) zu dem Fahrzeug- 
Steuergerat libertragen werden 
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